我们正在印度聘请一名顾问作为我们的Linuxpipe理员。 我们不太了解他，他需要Root访问我们所有的服务器来完成他的工作（包括安全审计）。
让远程顾问进行此类工作的最佳做法是什么，以保护我们免受任何恶性活动的侵害？
提前致谢。
不要 。 而且，与我所见过的公司处理这种典型方式的恶意程度相比 ，你们处于无能为力的危险之中。
我想说的是，在印度可能有很棒的系统pipe理员，但许多公司做事情的方式是可怕的。
如果你正在经过一家汽车修理店，你也可能看到一个很大的削减，他们中的许多人不太可能对他们的员工进行适当的审查。 我已经跟三个人谈过了，其中一个我曾经工作过，他们都没有做过技术性的采访。
所以，如果你必须远程雇用一个人，看在上帝的份上， 亲自采访他，确保他知道他的工作。 系统pipe理太重要了，不能盲目地交给别人
现在我已经处理了它的“无能”部分，
pipe理是一个相当广泛的短语。 而有root用户的人可以做任何事情 。 现在，我个人认为为pipe理员创build一个帐户，并让他能够通过sudo提升自己的能力是一个更好的主意（如果你有很多服务器，你的configurationpipe理系统应该处理这个）。 这就是说， 即使这依赖于一定程度的信任。 有太多的故事是由于系统pipe理员的不满所致。 改变你所有的密码？ 当然，你最终可以进入，但这并不是微不足道的，而且可能比你节省的成本要高。
所以，考虑一个地方。 如果不是的话，考虑一下你自己审查过并直接聘请的人 。
如前所述，不要这样做。
你能保护自己的唯一方法就是这样做：
应该清楚，这是一个非常笨拙和低效的过程，但是如果你坚持接受来自不信任的个人的工作，这是处理事情的一种方式。
然而，正如我所build议的那样，你雇用一位知名的，值得信赖的人会好得多。
让远程顾问进行此类工作的最佳做法是什么，以保护我们免受任何恶性活动的侵害？
从法律angular度来看：事前尽职尽责，严厉处罚违约。
您从招聘内部人员（和/或服务提供者）时的一般良好招聘做法开始，包括事实检查提供的简历，要求教育成绩单和authentication号码，检查并打电话给他们的参考资料，面试，甚至可能背景调查或安全筛选等。
然后申请胡萝卜 ：支付公平的价值，提供有吸引力的工作，惊人的同事，良好的工作条件和利益等（ 如果你支付花生猴子。 ）
棒 ：违反你的雇佣/服务合同的条款，我们会伤害你的律师，让你破产！
不幸的是，当跨越边界和时区时，上述情况变得越来越困难。
一旦你决定雇用某人：
这个问题详细说明了我通常会问我的客户为我build立远程访问，这也可能是您的起点。
有一种系统的保护你自己的方法，我没有提到。
将您的Linux实例作为虚拟化pipe理程序（VMware，Xenserver，Hyper-V等）上的虚拟机托pipe。
不要将远程pipe理员权限授予pipe理程序。 远程pipe理员只能对虚拟机本身进行root访问。
DO实施基于虚拟机pipe理程序的备份系统（Unitrends，Veeam，vSphere数据保护等）
每个Linux虚拟机每天至less保留一个快照，只要你觉得有必要的话，就可以尽快恢复。
不要将远程pipe理员写入权限授予备份存储库。
如果你做这些事情，你将拥有远程pipe理员无法控制的每个Linux实例的备份快照。 如果远程pipe理员做了一些事情，无论是有意还是无意，你总是可以在发生问题之前挂载一个备份来评估发生了什么事情，并可能恢复到干净状态。
这不能certificatepipe理程序侧通道攻击，该攻击可能会从攻击者拥有root权限的虚拟机中进行安装。
如果您的备份时间不够长，则不能保护您。
您需要充分信任控制pipe理程序和备份基础架构的人。
如果您是在云端（AWS，Azure等）执行此操作，则实现细节将有所不同，但一般概念将是相同的。
实质上，除了只雇佣你信任的人之外，还要把不是业务伙伴的各方分担责任。
给他自己的用户帐户。 然后找出他需要访问什么，并授予访问权限，但没有别的。 例如，如果他需要重新configuration一个Apache Web服务器，使用一个ACL来授予他对Apacheconfiguration文件的写入权限，并configurationsudo让他重新启动Apache服务，但不以root身份执行任何其他命令。 和往常一样，保留你允许访问的任何东西（在这种情况下，你的Apacheconfiguration文件）的备份。